WO2015155888A1 - 情報漏洩検知装置、情報漏洩検知方法、および情報漏洩検知プログラム - Google Patents

情報漏洩検知装置、情報漏洩検知方法、および情報漏洩検知プログラム Download PDF

Info

Publication number
WO2015155888A1
WO2015155888A1 PCT/JP2014/060501 JP2014060501W WO2015155888A1 WO 2015155888 A1 WO2015155888 A1 WO 2015155888A1 JP 2014060501 W JP2014060501 W JP 2014060501W WO 2015155888 A1 WO2015155888 A1 WO 2015155888A1
Authority
WO
WIPO (PCT)
Prior art keywords
information
leakage
unit
confidentiality
network
Prior art date
Application number
PCT/JP2014/060501
Other languages
English (en)
French (fr)
Inventor
守本　正宏
喜勝 白井
秀樹 武田
彰晃 花谷
健作 信櫻
拓一 小野里
Original Assignee
株式会社Ｕｂｉｃ
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社Ｕｂｉｃ filed Critical 株式会社Ｕｂｉｃ
Priority to PCT/JP2014/060501 priority Critical patent/WO2015155888A1/ja
Priority to JP2016512556A priority patent/JP6145570B2/ja
Publication of WO2015155888A1 publication Critical patent/WO2015155888A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules

Definitions

  • the present invention relates to an information leakage detection device that detects information leakage.
  • Patent Document 1 discloses an information leakage prevention apparatus for preventing leakage of personal information due to unauthorized access.
  • Patent Document 2 discloses an information leakage prevention program for preventing information obtained from a web server from leaking to another domain by cross domain access in a web client.
  • JP2013-0669016A released on April 18, 2013
  • JP 2010-079431 A published April 08, 2010
  • the present invention has been made in view of the above problems, and its purpose is to detect that information has leaked or the risk of leaking information has increased without causing the above-described adverse effects, and the leakage. It is to provide an information leakage detection device and the like that can identify the subject of the information.
  • an information leakage detection apparatus that detects information leakage. Querying a predetermined storage unit that is stored in association with confidentiality indicating high and low, calculating a leakage degree indicating a risk of leakage of the confidential information due to access to the outside of the network, the confidentiality and the When at least one of the degrees of leakage is determined to satisfy a predetermined condition indicating whether or not a predetermined condition indicating a criterion for leaking the confidential information is determined, and the determination unit determines that the predetermined condition is satisfied, And a specifying unit for specifying the subject of the leakage.
  • the “confidential information” is technical or business information useful for business activities.
  • personal information technical information (design drawings, experimental data, research reports, manufacturing know-how), sales information (customers) Directory, sales manual, supplier list, financial data).
  • the “outside of the network” is not limited to the range that is normally accessible to a subject (eg, a company employee) as well as the outside (eg, the Internet) to the “inside of the network” (eg, intranet). (E.g., places that require special privileges to access).
  • the above-mentioned “confidentiality” and “leakage degree” only need to be symbols that can be divided into predetermined stages and can be ordered, for example, numerical values, “high”, “medium”, Characters such as “low” may be used.
  • the information leakage detection device can identify a subject that causes information leakage based on the confidentiality or the degree of leakage that can be acquired by referring to the predetermined storage unit. Therefore, the information leak detection device detects that information has been leaked or that the risk of leaking information has increased without causing adverse effects such as reducing the efficiency of business operations and high management costs.
  • the subject of the leakage can be specified.
  • the determination unit may determine that the predetermined condition is satisfied when the confidential information is transmitted outside the network.
  • the information leakage detection device can detect the leakage of information and identify the subject of the leakage without causing the above-described adverse effects.
  • the calculation unit calculates a current leakage degree using a previously calculated leakage degree, and the determination unit determines that the current leakage degree is a predetermined threshold value. If it exceeds, it may be determined that the predetermined condition is satisfied.
  • the information leakage detection apparatus calculates the current leakage level using the previously calculated leakage level. For example, the information leakage detection apparatus can calculate the current leakage degree as “10” by adding “5” when the leakage degree was previously calculated as “5”. Then, the information leakage detection device can determine, as one of the predetermined conditions, whether or not the leakage level exceeds a predetermined threshold set for the leakage level.
  • the information leakage detection device can detect that the risk of information leakage has increased without causing the above-described adverse effects, and can identify the subject of the leakage.
  • the information leakage detection device further includes an extraction unit that extracts reputation information indicating a reputation of each subject belonging to the inside of the network by analyzing data distributed through the network,
  • the calculation unit may calculate the leakage degree based on the reputation information extracted by the extraction unit.
  • the “data” includes a wide range of e-mails, document files, presentation files, audio files (for example, data obtained by recording telephone calls), image / video data, and the like.
  • the information leakage detection device can extract the reputation of each subject by analyzing a sentence included in electronic data, for example, and can calculate the leakage degree based on the reputation. Therefore, the information leak detection device can more accurately detect that the information has been leaked or that the risk of information leak has increased without causing the above-described adverse effects, and can identify the subject of the leak.
  • the determination unit may further determine whether or not the relationship information indicating the relationship between a plurality of subjects satisfies the predetermined condition.
  • the “relationship information” includes, for example, information on the mediation centrality of the subject relating to the access.
  • the “medium centrality” indicates the degree to which information is not transmitted to other subjects unless the subject is relayed.
  • the “relationship information” may include information indicating characteristics of the human network such as degree centrality and proximity centrality.
  • the information leakage detection device can use the relationship information as one of the conditions for determining whether or not a subject has leaked information. Therefore, the information leak detection device can more accurately detect that the information has been leaked or that the risk of information leak has increased without causing the above-described adverse effects, and can identify the subject of the leak.
  • the information leakage detection apparatus refers to the confidentiality previously associated with the confidential information as learning data, thereby renewing the confidentiality to other confidential information different from the confidential information.
  • a storage unit that stores the other confidential information in the predetermined storage unit may be further provided.
  • the information leakage detection device detects that information has been leaked or that the risk of information leakage has increased, and the subject of the leakage Can be specified.
  • the information leakage detection apparatus may further include a presentation unit that presents the subject of leakage identified by the identification unit in a recognizable manner.
  • the information leakage detection device detects that the information has leaked or that the risk of information leakage has increased without causing the above-described adverse effects, and determines the leakage subject (for example, the information leakage detection device). Can be presented to the administrator).
  • the presenting unit may further present information that is a basis for identifying the subject of the leakage.
  • the information leakage detection device can recognize the email, The electronic mail can be presented. Therefore, the information leakage detection apparatus can reliably maintain evidence that causes information leakage.
  • an information leakage detection method for detecting information leakage, in which confidential information managed secretly within a network is classified as confidential.
  • the information leak detection method has the same effect as the information leak detection apparatus.
  • an information leakage detection program for detecting information leakage, in which confidential information managed secretly in a network is stored in a computer.
  • the information leakage detection device may be realized by a computer.
  • the computer by causing the computer to operate as each unit included in the information leakage detection device, an information leakage detection program for realizing the information leakage detection device in the computer, and a computer-readable recording medium on which the information leakage detection program is recorded are also within the scope of the present invention.
  • the information leakage detection program has the same effect as the information leakage detection device.
  • the information leakage detection apparatus, the information leakage detection method, and the information leakage detection program according to one aspect of the present invention allow information leakage without causing adverse effects such as reducing business efficiency and high management costs. It is possible to detect that the risk of information leakage has increased, and to identify the subject of the leakage.
  • FIG. 1 is a block diagram illustrating a main configuration of the server 100.
  • the server (information leakage detection device) 100 is a device that detects information leakage.
  • the server 100 is a device that is communicably connected to a computer included in a network (for example, an intranet) and outside the network (for example, the Internet) according to a predetermined communication method, and capable of executing the processing described below. It can be realized using any computer.
  • the server 100 includes a control unit 10 (acquisition unit 11, calculation unit 12, extraction unit 13, storage unit 14, determination unit 15, identification unit 16, presentation unit 17), display unit 50, communication.
  • Unit 20 reception unit 21, transmission unit 22
  • storage unit 30 storage unit 30 are provided.
  • the control unit 10 comprehensively controls various functions of the server 100.
  • the control unit 10 includes an acquisition unit 11, a calculation unit 12, an extraction unit 13, a storage unit 14, a determination unit 15, a specification unit 16, and a presentation unit 17.
  • the acquisition unit 11 acquires the data 1 received by the reception unit 21 from the reception unit 21 and outputs the data 1 to the calculation unit 12, the extraction unit 13, and the storage unit 14.
  • the calculation unit 12 monitors the access to the outside of the network, thereby calculating a leakage degree 3 indicating a risk that the confidential information 2a is leaked by the access.
  • the calculation unit 12 outputs the calculated leakage degree 3 and the confidentiality 2 b input from the storage unit 14 to the determination unit 15. The process in which the calculation unit 12 calculates the leakage degree 3 will be described later in detail.
  • the extraction unit 13 extracts reputation information 4a indicating the reputation of each member (each subject) belonging to the inside of the network (for example, an intranet) by analyzing data distributed through the network.
  • the storage unit 14 stores the unknown secret information 2a managed secretly inside the network in the storage unit 30 in association with the confidentiality 2b indicating the level of confidentiality. In addition, the storage unit 14 inquires the storage unit 30 to determine whether the information included in the data 1 is information stored in the storage unit 30 as confidential information 2a.
  • the determining unit 15 determines whether or not at least one of the confidentiality 2b and the leakage degree 3 satisfies a predetermined condition indicating a criterion for leaking the confidential information 2a. The determination process by the determination unit 15 will be described in detail later.
  • the specifying unit 16 is associated with the confidential information 2a. Based on the confidentiality 2b or the degree of leakage 3, the subject of the leakage (the member who leaked the confidential information 2a or the member who is highly likely to leak the confidential information 2a) is specified.
  • the identification unit 16 outputs the identification information 5 b including information on the subject of the leakage to the presentation unit 17.
  • the presenting unit 17 When the specific information 5b is input from the specifying unit 16, the presenting unit 17 outputs the presentation information 4c to the display unit 50 so that the subject of leakage specified by the specifying unit 16 can be recognized. For example, it is presented to the administrator of the server 100.
  • the presentation unit 17 can include information that is a basis for identifying the subject of the leakage in the presentation information 4c and output the information to the display unit 50. For example, when the confidential information 2a is leaked because the confidential information 2a is attached to an electronic mail and the electronic mail is transmitted outside the network, the presenting unit 17 recognizes that the electronic mail can be recognized by the user. As such, the e-mail can be presented.
  • the display unit 50 is a display device (for example, a liquid crystal display) capable of displaying information on the subject of the leakage in accordance with the presentation information 4c input from the presentation unit 17. 1 shows a configuration example in which the server 100 includes the display unit 50.
  • the display unit 50 only needs to be able to present information regarding the subject of the leakage to the user.
  • the server 100 can communicate with the server 100. It may be an external display device connected to the.
  • the communication unit 20 communicates with the outside via a network according to a predetermined communication method.
  • the communication line, the communication method, the communication medium, and the like are not limited as long as they have an essential function for realizing communication with an external device.
  • the communication unit 20 can be configured by a device such as an Ethernet (registered trademark) adapter.
  • the communication unit 20 can use a communication method or a communication medium such as IEEE802.11 wireless communication or Bluetooth (registered trademark).
  • the communication unit 20 includes a reception unit 21 and a transmission unit 22.
  • the receiving unit 21 receives data 1 from any computer included in the intranet by communication via the communication network.
  • the transmission unit 22 transmits the data 1 input from the reception unit 21 to an arbitrary computer that is communicably connected to the Internet by communication via a communication network.
  • the storage unit 30 is a storage device configured by an arbitrary recording medium such as a hard disk, an SSD (silicon state drive), a semiconductor memory, a DVD, and the like, and various programs (information leakage detection programs) that can control the server 100 and The data and the confidential information 2a and confidentiality 2b stored by the storage unit 14 are stored.
  • an arbitrary recording medium such as a hard disk, an SSD (silicon state drive), a semiconductor memory, a DVD, and the like
  • various programs information leakage detection programs
  • FIG. 2 is an example of a list presented to the user by the presentation unit 17. The following three cases will be exemplified and an example of processing executed by the server 100 will be described with reference to FIG.
  • a member included in the network attaches data including confidential information 2a to an e-mail and transmits it to the outside of the network (the list shown in FIG. 2). Corresponding to the first line).
  • the member browsed a web page posting a job offer (corresponding to the second line).
  • the member communicates with a person belonging to an external organization using an e-mail (corresponding to the third line).
  • the data 1 related to the electronic mail is transmitted from the computer used by the member to the outside of the network via the server 100. That is, the data 1 received by the reception unit 21 is acquired by the acquisition unit 11 and input to the calculation unit 12 and the storage unit 14.
  • the storage unit 14 determines whether the information included as data attached to the data 1 (e-mail) is information stored in the storage unit 30 as confidential information 2a. Inquire. In the case illustrated in (1) above, since the information corresponds to the confidential information 2a, the storage unit 14 stores the confidentiality 2b associated with the confidential information 2a (in the first row and the third column of the list, “ 100 ”is output to the calculation unit 12.
  • the calculation unit 12 calculates the risk of information leakage as a degree of leakage 3 for the act of “attaching to an e-mail and transmitting to the outside” (access to the outside). For example, the calculation unit 12 calculates a value associated with the access in advance as a leakage degree 3 (indicated by “40” in the first row and the fourth column of the list). Further, the calculation unit 12 may calculate the degree of leakage 3 according to the member attributes (age, gender, nationality, affiliation, status, family structure, etc.).
  • the determination unit 15 reads the relationship information 4b stored in the storage unit 30 from the storage unit 30.
  • the relationship information 4b includes information on the mediation centrality of the member who has transmitted the e-mail.
  • the “medial centrality” indicates the degree to which information is not transmitted to other members unless the member is relayed. That is, the height of the position in the member's organization and the height of the centrality of the member have a positive correlation. And the member whose medianity is lower tends to leak the confidential information 2a. Therefore, the determination unit 15 can detect information leakage more accurately by using the level of the median centrality as one of the predetermined conditions.
  • the determination unit 15 determines a criterion for leaking the confidential information 2a. It is determined whether or not a predetermined condition shown is satisfied. For example, the determination unit 15 determines whether at least one of the confidentiality 2b and the leakage degree 3 exceeds a predetermined threshold set for the confidentiality 2b and the leakage degree 3, respectively. It can be determined as a condition of
  • the determination unit 15 detects the action (access) that “the member has transmitted the confidential information 2a to the outside of the network” regardless of the confidentiality 2b, the leakage degree 3, and the relationship information 4b. It may be determined that a predetermined condition is satisfied (same as setting a degree of leakage 3 that exceeds the predetermined threshold for the above action).
  • the determination unit 15 may determine whether the median centrality is “low” and whether the leakage degree 3 exceeds a predetermined threshold as the predetermined condition. Good. Alternatively, the determination unit 15 may determine whether or not a value that can be calculated from the sensitivity 2b and the degree of leakage 3 (for example, a value obtained by multiplying both) exceeds a predetermined threshold value. . Furthermore, when the change from the previously calculated leakage degree 3 (that is, the difference between the previously calculated leakage degree 3 and the currently calculated leakage degree 3) exceeds a predetermined threshold, the determination unit 15 It may be determined that the predetermined condition is satisfied.
  • the specifying unit 16 specifies the member who transmitted the e-mail as the subject of information leakage, and the presentation unit 17 identifies the member as a user (an administrator of the server 100). ).
  • the server 100 can detect that the confidential information 2a has been leaked and notify the administrator of the server 100.
  • the server 100 can detect information leakage due to the access by the same processing as described above.
  • the server 100 performs the same process as described above for actions (access) such as the member uploading the confidential information 2a to the network storage and the member transmitting the confidential information 2a to the outside via the chat system. Information leakage due to the access can be detected.
  • the storage unit 14 determines whether or not the URL (Uniform Resource Locator) of the web page included in the data 1 is included in the monitoring target list stored in the storage unit 30. Query 30. In the case illustrated in (2) above, since the URL is included in the monitoring target list as one of the URLs to be monitored, the storage unit 14 calculates monitoring information 4d indicating that it is included. 12 is output.
  • URL Uniform Resource Locator
  • the URL of the web page on which the job is posted is included in the monitoring target list. This is because a member who frequently browses the web page on which the job is posted in order to consider changing jobs is more likely to leak the confidential information 2a than a member who does not. Similarly, members who frequently browse web pages containing content unrelated to their business are more likely to leak confidential information 2a than members who do not, so the URL of the web page is monitored It may be included in the list.
  • the calculation unit 12 calculates the risk of information leakage as a degree of leakage 3 for the act of “viewing a web page that is being monitored” (access to the outside). For example, the calculation unit 12 may calculate a value associated with the access in advance as a leakage degree 3 (indicated by “10” in 2 rows and 4 columns of the list).
  • the calculation unit 12 may calculate the current leakage degree 3 using the leakage degree 3 calculated last time. For example, if the leak level 3 was calculated as “5” for the previous access “viewed web page to be monitored”, “5” is further added to the current leak level 3 Can be calculated as “10”.
  • the calculation unit 12 may calculate the current leakage level 3 from the previously calculated leakage level 3 according to the access frequency. For example, the calculation unit 12 can calculate the leakage degree 3 so that the leakage degree 3 increases at an accelerated rate as the frequency of browsing the web page increases.
  • the determination unit 15 determines whether or not a predetermined condition is satisfied as described above. If the determination unit 15 determines that the condition is satisfied, the member who has browsed the website by the specifying unit 16 (a computer having a host name indicated as the identification information 5c in the second row and the first column of the list is used) The member) is specified as the subject of the information leakage, and the presentation unit 17 presents the member to the user (the manager of the server 100).
  • the server 100 can detect that there is an increased risk of leakage of the confidential information 2a and notify the administrator of the server 100.
  • the storage unit 14 extracts a keyword from the text included in the e-mail and determines whether the keyword is included in the keyword list stored in the storage unit 30. Query.
  • the keyword list includes, for example, “confidential”, “change of job”, “interview”, keywords related to the content of confidential information 2a, keywords that suggest leakage of confidential information 2a, and preliminary information for leaking confidential information 2a. Includes keywords related to the action.
  • the storage unit 14 outputs monitoring information 4 d including information on keywords included in the keyword list to the calculation unit 12.
  • the calculation unit 12 calculates the risk of information leakage as the degree of leakage 3 for the act of “sending an e-mail including a predetermined keyword to an external person” (access to the outside). For example, the calculation unit 12 may calculate the total of values previously associated with each keyword as a leakage degree 3 (indicated as “15” in the third row and the fourth column in the list).
  • the determination unit 15 determines whether or not a predetermined condition is satisfied as described above.
  • the specifying unit 16 specifies the member who transmitted the e-mail as a subject of information leakage, and the presenting unit 17 presents the member to the user (administrator of the server 100). To do.
  • the server 100 can detect that there is an increased risk of leakage of the confidential information 2a and notify the administrator of the server 100.
  • the storage unit 14 can extract a keyword not only from the text included in the e-mail but also from voice data obtained by recording a telephone call by using a known voice recognition algorithm. Accordingly, the server 100 can detect that there is an increased risk of the confidential information 2a leaking from telephone calls.
  • Data 1 distributed through the network (for example, data including text such as electronic data) is also input to the extraction unit 13.
  • the extraction unit 13 generates reputation information 4 a indicating the reputation (reputation) of each member belonging to the inside of the network, and outputs the reputation information 4 a to the calculation unit 12.
  • the extraction unit 13 when the content suggesting that a member's technical ability is low is read by analyzing the text included in the electronic data, the extraction unit 13 generates reputation information 4a including the content.
  • the calculation unit 12 calculates the degree of leakage 3 with respect to the member's access larger than usual based on the reputation information 4a. This is because the lower the technical capability, the stronger the tendency to leak confidential information 2a.
  • the calculation unit 12 calculates the degree of leakage 3 with respect to the access of the member larger than usual based on the reputation information 4a. This is because the greater the dissatisfaction, the stronger the tendency to leak confidential information 2a.
  • the server 100 can more accurately detect that the information has been leaked or the risk that the information has been leaked, and identify the subject of the leakage.
  • the storage unit 14 refers to the confidentiality 2b associated with the confidential information 2a in advance as learning data, thereby newly associating the confidentiality 2b with another confidential information 2a different from the confidential information 2a.
  • Other confidential information 2 a can be stored in the storage unit 30.
  • the storage unit 14 can Correlate the density 2b.
  • the server 100 more accurately detects that information has been leaked or that the risk of information leakage has increased.
  • the subject of can be specified.
  • FIG. 3 is a flowchart illustrating an example of processing executed by the server 100.
  • parenthesized “ ⁇ steps” represent steps included in the information leakage detection method according to the embodiment of the present invention.
  • the acquisition unit 11 acquires the data 1 received by the reception unit 21 from the reception unit 21 (step 1, hereinafter “step” is abbreviated as “S”).
  • the storage unit 14 determines whether the information included in the data 1 corresponds to the confidential information 2a (S2). If it is determined that the information is applicable (YES in S2), the storage unit 14 stores the confidential information 2a. Is output to the calculation unit 12 (S3).
  • the calculation unit 12 calculates a leakage degree 3 for access related to the data 1 (S4, calculation step).
  • the determination unit 15 determines whether or not the confidentiality 2b or the leakage degree 3 satisfies a predetermined condition (S5, determination step). If it is determined that the condition is satisfied (YES in S5), the access subject Is identified as the entity that leaks the confidential information 2a (S6, identification step).
  • the presenting unit 17 presents the subject of the leakage to the user so that it can be recognized (S7).
  • the server 100 detects that the information has been leaked or that the risk of leaking information has increased without causing adverse effects such as reducing the efficiency of business operations or spending high management costs. There is an effect that can be specified.
  • the server 100 can also be expressed as follows. That is, an information leakage detection device that detects information leakage, and stores unknown secret information that is secretly managed inside the network in a predetermined storage unit in association with confidentiality indicating the level of confidentiality.
  • a storage unit a calculation unit that calculates a degree of leakage indicating the risk of leakage of the confidential information by the access by monitoring access to the outside of the network, and the confidentiality associated with the confidential information,
  • An information leakage detection apparatus comprising: a specifying unit that specifies a subject of the leakage based on the degree of leakage.
  • the control block (particularly the control unit 10) of the server 100 may be realized by a logic circuit (hardware) formed in an integrated circuit (IC chip) or the like, or by software using a CPU (Central Processing Unit). It may be realized.
  • the server 100 includes a CPU that executes instructions of a program (information leakage detection program) that is software that implements each function, and a ROM (in which the program and various data are recorded so as to be readable by the computer (or CPU)).
  • a Read Only Memory or a storage device (these are referred to as “recording media”), a RAM (Random Access Memory) for expanding the program, and the like are provided.
  • a computer reads the said program from the said recording medium and runs it.
  • a “non-temporary tangible medium” such as a tape, a disk, a card, a semiconductor memory, a programmable logic circuit, or the like can be used.
  • the program may be supplied to the computer via an arbitrary transmission medium (such as a communication network or a broadcast wave) that can transmit the program.
  • the present invention can also be realized in the form of a data signal embedded in a carrier wave in which the program is embodied by electronic transmission.
  • the information leakage detection program associates confidential information managed secretly in the network with the confidentiality indicating the level of confidentiality in the computer (server 100).
  • Querying a predetermined storage unit, and calculating a leakage level indicating a risk of leakage of the confidential information due to access to the outside of the network, and at least one of the confidentiality and the leakage level is A determination function that determines whether or not a predetermined condition indicating a criterion for leaking the confidential information is satisfied, and a specific function that identifies the subject of the leakage when the determination function determines that the predetermined condition is satisfied And make it happen.
  • the calculation function, determination function, and identification function can be realized by the calculation unit 12, the determination unit 15, and the identification unit 16, respectively. Details are as described above.
  • the present invention can be widely applied to arbitrary computers such as personal computers, workstations, and mainframes.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • General Health & Medical Sciences (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Health & Medical Sciences (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Bioethics (AREA)
  • Storage Device Security (AREA)
  • Information Transfer Between Computers (AREA)

Abstract

弊害を生じることなく情報が漏洩したことを検知し、漏洩の主体を特定する。 サーバは、ネットワークの内部において秘密に管理される機密情報を、機密性の高低を示す機密度に対応付けて記憶する記憶部を照会し、ネットワークの外部に対するアクセスによって機密情報が漏洩する危険性を示す漏洩度を算出する算出部と、機密度および漏洩度のうちの少なくとも一方が、機密情報が漏洩する基準を示す所定の条件を満たすか否かを判定する判定部と、所定の条件を満たすと判定された場合、漏洩の主体を特定する特定部を備えている。

Description

情報漏洩検知装置、情報漏洩検知方法、および情報漏洩検知プログラム
　本発明は、情報漏洩を検知する情報漏洩検知装置等に関するものである。
　ネットワークの外部から不正にアクセスした侵入者によって、機密情報が漏洩されることを防ぐ技術は、従来から提案されていた。
　例えば、下記の特許文献１には、不正アクセスによる個人情報の漏洩を未然に防止する情報漏洩防止装置が開示されている。また、下記の特許文献２には、ウェブクライアントにおけるクロス・ドメイン・アクセスにより、ウェブサーバから入手した情報が他のドメインに漏洩することを防止する情報漏洩防止プログラムが開示されている。
特開２０１３－０６９０１６号公報（２０１３年４月１８日公開） 特開２０１０－０７９４３１号公報（２０１０年４月０８日公開）
　外部からの不正アクセスによって情報が漏洩されるケースよりも、ネットワークの内部に含まれるメンバーによって情報が不正に持ち出されるケースの方が多い。ここで、上記先行技術文献にそれぞれ開示された技術では、後者のケースを防止できない。
　一方、内部メンバーによる情報漏洩を防止するために、情報が漏洩し得る経路を制限し（記録メモリを使用不可能にしたり、外部ネットワークに対するアクセスを遮断したりするなど）、管理を強化することが考えられる。しかし、制限・管理を強化するほど、業務の効率が落ち、管理コストが高くつくという弊害が生じる。
　本発明は、上記の問題点に鑑みてなされたものであり、その目的は、上記弊害を生じることなく、情報が漏洩したこと、または情報が漏洩するおそれが高まったことを検知し、当該漏洩の主体を特定可能な情報漏洩検知装置等を提供することである。
　上記課題を解決するために、本発明の一態様に係る情報漏洩検知装置は、情報漏洩を検知する情報漏洩検知装置であって、ネットワークの内部において秘密に管理される機密情報を、機密性の高低を示す機密度に対応付けて記憶する所定の記憶部を照会し、前記ネットワークの外部に対するアクセスによって前記機密情報が漏洩する危険性を示す漏洩度を算出する算出部と、前記機密度および前記漏洩度のうちの少なくとも一方が、前記機密情報が漏洩する基準を示す所定の条件を満たすか否かを判定する判定部と、前記判定部によって前記所定の条件を満たすと判定された場合、前記漏洩の主体を特定する特定部とを備えている。
　ここで、上記「機密情報」は、事業活動に有用な技術上または営業上の情報であり、例えば、個人情報、技術情報（設計図、実験データ、研究レポート、製造ノウハウ）、営業情報（顧客名簿、販売マニュアル、仕入先リスト、財務データ）などが含まれる。
　また、上記「ネットワークの外部」には、上記「ネットワークの内部」（例えば、イントラネット）に対する外部（例えば、インターネット）だけでなく、ある主体（例えば、企業の従業者）が通常アクセス可能な範囲外（例えば、アクセスするために特別な権限を必要とする場所）が含まれる。
　さらに、上記「機密度」および「漏洩度」は、所定の段階に区切って序列化可能な記号でありさえすればよく、例えば、数値であってもよいし、「高」、「中」、「低」などの文字であってもよい。
　上記構成によれば、上記情報漏洩検知装置は、上記所定の記憶部を照会することによって取得可能な上記機密度または漏洩度に基づき、情報漏洩を引き起こす主体を特定できる。したがって、上記情報漏洩検知装置は、業務の効率を落としたり、高い管理コストを費やしたりするなどの弊害を生じることなく、情報が漏洩したこと、または情報が漏洩するおそれが高まったことを検知し、当該漏洩の主体を特定することができる。
　本発明の一態様に係る情報漏洩検知装置において、前記判定部は、前記機密情報が前記ネットワークの外部に送信された場合、前記所定の条件を満たすと判定してよい。
　したがって、上記情報漏洩検知装置は、上記弊害を生じることなく、情報が漏洩したことを検知し、当該漏洩の主体を特定することができる。
　本発明の一態様に係る情報漏洩検知装置において、前記算出部は、前回算出した漏洩度を用いて今回の漏洩度を算出し、前記判定部は、前記今回の漏洩度が所定のしきい値を超過する場合、前記所定の条件を満たすと判定してよい。
　上記構成によれば、上記情報漏洩検知装置は、前回算出した漏洩度を用いて今回の漏洩度を算出する。例えば、上記情報漏洩検知装置は、漏洩度が「５」と前回算出されていた場合、さらに「５」を加算して、今回の漏洩度を「１０」と算出できる。そして、上記情報漏洩検知装置は、上記漏洩度に設定された所定のしきい値を、当該漏洩度が超過しているか否かを、上記所定の条件の１つとして判定できる。
　したがって、上記情報漏洩検知装置は、上記弊害を生じることなく、情報が漏洩するおそれが高まったことを検知し、当該漏洩の主体を特定することができる。
　本発明の一態様に係る情報漏洩検知装置は、前記ネットワークを流通するデータを解析することによって、当該ネットワークの内部に所属する各主体の評判を示す評判情報を抽出する抽出部をさらに備え、前記算出部は、前記抽出部によって抽出された評判情報に基づいて、前記漏洩度を算出してよい。
　ここで、上記「データ」には、電子メール、ドキュメントファイル、プレゼンテーションファイル、音声ファイル（例えば、電話による通話を録音したデータ）、画像・動画データなどが広く含まれる。
　上記構成によれば、上記情報漏洩検知装置は、例えば、電子データに含まれる文章を解析することによって各主体の評判を抽出し、当該評判に基づいて上記漏洩度を算出できる。したがって、上記情報漏洩検知装置は、上記弊害を生じることなく、情報が漏洩したこと、または情報が漏洩するおそれが高まったことをより正確に検知し、当該漏洩の主体を特定することができる。
　本発明の一態様に係る情報漏洩検知装置において、前記判定部は、複数の主体の関係性を示す関係性情報が、前記所定の条件を満たすか否かをさらに判定してよい。
　ここで、上記「関係性情報」には、例えば、上記アクセスに係る主体の媒介中心性に関する情報が含まれる。上記「媒介中心性」は、その主体を中継しなければ、情報が他の主体に伝わらない度合いを示す。また、上記「関係性情報」には、例えば、次数中心性、近接中心性など、人的ネットワークの特性を示す情報が含まれていてよい。
　上記構成によれば、上記情報漏洩検知装置は、ある主体が情報を漏洩したか否かを判定する条件の１つに上記関係性情報を用いることができる。したがって、上記情報漏洩検知装置は、上記弊害を生じることなく、情報が漏洩したこと、または情報が漏洩するおそれが高まったことをより正確に検知し、当該漏洩の主体を特定することができる。
　本発明の一態様に係る情報漏洩検知装置は、前記機密情報にあらかじめ対応付けられた前記機密度を学習データとして参照することによって、当該機密情報とは異なる他の機密情報に前記機密度を新たに対応付けて、当該他の機密情報を前記所定の記憶部に格納する格納部をさらに備えてよい。
　したがって、上記情報漏洩検知装置は、大量の情報が機密情報としてリストアップされる場合であっても、情報が漏洩したこと、または情報が漏洩するおそれが高まったことを検知し、当該漏洩の主体を特定することができる。
　本発明の一態様に係る情報漏洩検知装置は、前記特定部によって特定された漏洩の主体を、認識可能に提示する提示部をさらに備えてよい。
　したがって、上記情報漏洩検知装置は、上記弊害を生じることなく、情報が漏洩したこと、または情報が漏洩するおそれが高まったことを検知し、当該漏洩の主体を（例えば、上記情報漏洩検知装置の管理者に）提示することができる。
　本発明の一態様に係る情報漏洩検知装置において、前記提示部は、前記漏洩の主体が特定された根拠となる情報をさらに提示してよい。
　例えば、機密情報が電子メールに添付され、当該電子メールがネットワークの外部に送信されたことにより上記機密情報が漏洩した場合、上記情報漏洩検知装置は、当該電子メールが認識可能となるように、当該電子メールを提示できる。したがって、上記情報漏洩検知装置は、情報漏洩の原因となる証拠を確実に保全することができる。
　上記課題を解決するために、本発明の一態様に係る情報漏洩検知方法は、情報漏洩を検知する情報漏洩検知方法であって、ネットワークの内部において秘密に管理される機密情報を、機密性の高低を示す機密度に対応付けて記憶する所定の記憶部を照会し、前記ネットワークの外部に対するアクセスによって前記機密情報が漏洩する危険性を示す漏洩度を算出する算出ステップと、前記機密度および前記漏洩度のうちの少なくとも一方が、前記機密情報が漏洩する基準を示す所定の条件を満たすか否かを判定する判定ステップと、前記判定ステップにおいて前記所定の条件を満たすと判定した場合、前記漏洩の主体を特定する特定ステップとを含んでいる。
　したがって、上記情報漏洩検知方法は、上記情報漏洩検知装置と同じ効果を奏する。
　上記課題を解決するために、本発明の一態様に係る情報漏洩検知プログラムは、情報漏洩を検知する情報漏洩検知プログラムであって、コンピュータに、ネットワークの内部において秘密に管理される機密情報を、機密性の高低を示す機密度に対応付けて記憶する所定の記憶部を照会し、前記ネットワークの外部に対するアクセスによって前記機密情報が漏洩する危険性を示す漏洩度を算出する算出機能と、前記機密度および前記漏洩度のうちの少なくとも一方が、前記機密情報が漏洩する基準を示す所定の条件を満たすか否かを判定する判定機能と、前記判定機能によって前記所定の条件を満たすと判定された場合、前記漏洩の主体を特定する特定機能とを実現させる。
　すなわち、本発明の各態様に係る情報漏洩検知装置は、コンピュータによって実現されてもよい。この場合、コンピュータを上記情報漏洩検知装置が備えた各部として動作させることによって、上記情報漏洩検知装置をコンピュータにおいて実現させる情報漏洩検知プログラム、および当該情報漏洩検知プログラムを記録したコンピュータ読み取り可能な記録媒体も、本発明の範疇に入る。
　したがって、上記情報漏洩検知プログラムは、上記情報漏洩検知装置と同じ効果を奏する。
　本発明の一態様に係る情報漏洩検知装置、情報漏洩検知方法、および、情報漏洩検知プログラムは、業務の効率を落としたり、高い管理コストを費やしたりするなどの弊害を生じることなく、情報が漏洩したこと、または情報が漏洩するおそれが高まったことを検知し、当該漏洩の主体を特定することができるという効果を奏する。
本発明の実施の形態に係るサーバの要部構成を示すブロック図である。 上記サーバが備えた提示部によってユーザに提示される一覧表の一例である。 上記サーバが実行する処理の一例を示すフローチャートである。
　図１～図３に基づいて、本発明の実施の形態を説明する。
　〔サーバ１００の構成〕
　図１は、サーバ１００の要部構成を示すブロック図である。サーバ（情報漏洩検知装置）１００は、情報漏洩を検知する装置である。上記サーバ１００は、所定の通信方式にしたがうネットワークの内部（例えば、イントラネット）および当該ネットワークの外部（例えば、インターネット）に含まれるコンピュータと通信可能に接続され、以下で説明する処理を実行可能な機器でありさえすればよく、任意のコンピュータを用いて実現され得る。
　図１に示されるように、サーバ１００は、制御部１０（取得部１１、算出部１２、抽出部１３、格納部１４、判定部１５、特定部１６、提示部１７）、表示部５０、通信部２０（受信部２１、送信部２２）、および、記憶部３０を備えている。
　制御部１０は、サーバ１００が有する各種機能を統括的に制御する。制御部１０は、取得部１１、算出部１２、抽出部１３、格納部１４、判定部１５、特定部１６、および提示部１７を含む。
　取得部１１は、受信部２１によって受信されたデータ１を当該受信部２１から取得し、当該データ１を算出部１２、抽出部１３、および格納部１４に出力する。
　算出部１２は、ネットワークの外部に対するアクセスを監視することによって、機密情報２ａが当該アクセスにより漏洩する危険性を示す漏洩度３を算出する。算出部１２は、算出した漏洩度３と、格納部１４から入力された機密度２ｂとを判定部１５に出力する。なお、算出部１２が漏洩度３を算出する過程については、後で詳細に説明する。
　抽出部１３は、ネットワークを流通するデータを解析することによって、当該ネットワークの内部（例えば、イントラネット）に所属する各メンバー（各主体）の評判を示す評判情報４ａを抽出する。
　格納部１４は、ネットワークの内部において秘密に管理される非公知な機密情報２ａを、機密性の高低を示す機密度２ｂに対応付けて記憶部３０に格納する。また、格納部１４は、データ１に含まれる情報が、機密情報２ａとして記憶部３０に格納された情報であるか否かを判定するために、当該記憶部３０を照会する。
　判定部１５は、機密度２ｂおよび漏洩度３のうちの少なくとも一方が、機密情報２ａが漏洩する基準を示す所定の条件を満たすか否かを判定する。判定部１５による判定処理については、後で詳細に説明する。
　特定部１６は、判定部１５によって所定の条件を満たすと判定された場合（所定の条件を満たすことを示す判定結果５ａが判定部１５から入力された場合）、機密情報２ａに対応付けられた機密度２ｂ、または漏洩度３に基づいて、当該漏洩の主体（機密情報２ａを漏洩したメンバー、または機密情報２ａを漏洩するおそれが高まっているメンバー）を特定する。特定部１６は、上記漏洩の主体に関する情報を含む特定情報５ｂを、提示部１７に出力する。
　提示部１７は、特定部１６から特定情報５ｂが入力された場合、特定部１６によって特定された漏洩の主体が認識可能となるように、表示部５０に提示情報４ｃを出力することによってユーザ（例えば、サーバ１００の管理者）に提示する。また、提示部１７は、漏洩の主体が特定された根拠となる情報を上記提示情報４ｃに含め、上記表示部５０に出力することができる。例えば、機密情報２ａが電子メールに添付され、当該電子メールがネットワークの外部に送信されたことにより、上記機密情報２ａが漏洩した場合、提示部１７は、当該電子メールが上記ユーザに認識可能となるように、当該電子メールを提示できる。
　表示部５０は、提示部１７から入力された提示情報４ｃにしたがって、上記漏洩の主体に関する情報を表示可能な表示装置（例えば、液晶ディスプレイ）である。なお、図１は、サーバ１００が表示部５０を含む構成例を示すが、表示部５０は、上記漏洩の主体に関する情報をユーザに提示可能でありさえすればよく、例えば、サーバ１００に通信可能に接続された外部の表示装置であってもよい。
　通信部２０は、所定の通信方式にしたがうネットワークを介して外部と通信する。外部の機器との通信を実現する本質的な機能が備わってさえいればよく、通信回線、通信方式、および通信媒体などは限定されない。通信部２０は、例えばイーサネット（登録商標）アダプタなどの機器で構成できる。また、通信部２０は、例えばIEEE802.11無線通信、Bluetooth（登録商標）などの通信方式や通信媒体を利用できる。通信部２０は、受信部２１と送信部２２とを含む。
　受信部２１は、通信網を介した通信によって、当該イントラネットに含まれる任意のコンピュータからデータ１を受信する。
　送信部２２は、通信網を介した通信によって、当該インターネットに通信可能に接続された任意のコンピュータに、受信部２１から入力されたデータ１を送信する。
　記憶部３０は、例えば、ハードディスク、ＳＳＤ（silicon state drive）、半導体メモリ、ＤＶＤなど、任意の記録媒体によって構成される記憶機器であり、サーバ１００を制御可能な各種プログラム（情報漏洩検知プログラム）およびデータと、格納部１４によって格納された機密情報２ａおよび機密度２ｂとを記憶する。
　〔３つの具体的ケース〕
　図２は、提示部１７によってユーザに提示される一覧表の一例である。次の３つのケースを例示し、図２を参照しながら、サーバ１００が実行する処理の一例を説明する。
（１）ネットワークの内部に含まれるメンバー（以下、単に「メンバー」と称する）が、機密情報２ａを含むデータを電子メールに添付し、上記ネットワークの外部に送信した（図２に示される一覧表の１行目に対応する）。
（２）上記メンバーが求人を掲載するウェブページを閲覧した（２行目に対応する）。
（３）上記メンバーが外部の組織に所属する人物と、電子メールを用いてコミュニケーションを取っている（３行目に対応する）。
　（ケース１の場合）
　上記（１）に例示されるケースにおいて、上記電子メールに関するデータ１は、メンバーが使用するコンピュータからサーバ１００を経由して、上記ネットワークの外部に送信される。すなわち、受信部２１によって受信されたデータ１は、取得部１１によって取得され、算出部１２と格納部１４とに入力される。
　格納部１４は、データ１（電子メール）に添付されたデータとして含まれる情報が、機密情報２ａとして記憶部３０に格納された情報であるか否かを判定するために、当該記憶部３０を照会する。上記（１）に例示されるケースでは、上記情報は機密情報２ａに該当するため、格納部１４は、当該機密情報２ａに対応付けられた機密度２ｂ（上記一覧表の１行３列に「１００」と示される）を算出部１２に出力する。
　算出部１２は、「電子メールに添付して外部に送信する」という行為（外部に対するアクセス）に対して、情報漏洩の危険性を、漏洩度３として算出する。例えば、算出部１２は、上記アクセスにあらかじめ対応付けられた値を漏洩度３（上記一覧表の１行４列に「４０」と示される）として算出する。また、算出部１２は、メンバーの属性（年齢、性別、国籍、所属、地位、家族構成など）に応じて漏洩度３を算出してもよい。
　判定部１５は、記憶部３０に格納された関係性情報４ｂを、当該記憶部３０から読み出す。ここで、上記関係性情報４ｂには、上記電子メールを送信した上記メンバーの媒介中心性に関する情報が含まれる。ここで、上記「媒介中心性」は、そのメンバーを中継しなければ、情報が他のメンバーに伝わらない度合いを示す。すなわち、メンバーの組織におけるポジションの高さと、当該メンバーの媒介中心性の高さとは、正の相関を有する。そして、媒介中心性が低いメンバーほど、機密情報２ａを漏洩させる傾向にある。したがって、判定部１５が、媒介中心性の高低を所定の条件の１つとして用いることによって、より正確に情報漏洩を検知することができる。
　判定部１５は、算出部１２から入力された機密度２ｂおよび漏洩度３と、上記媒介中心性（記憶部３０から読み出した関係性情報４ｂ）とに基づいて、機密情報２ａが漏洩する基準を示す所定の条件が満たされたか否かを判定する。例えば、判定部１５は、機密度２ｂおよび漏洩度３にそれぞれ設定された所定のしきい値を、当該機密度２ｂおよび漏洩度３のうちの少なくとも一方が超過しているか否かを、上記所定の条件として判定できる。
　または、判定部１５は、機密度２ｂ、漏洩度３、および関係性情報４ｂに関わらず、「メンバーが機密情報２ａをネットワークの外部に送信した」という行為（アクセス）を検知したことから、上記所定の条件を満たしたと判定してもよい（上記行為に対して、上記所定のしきい値を超過する漏洩度３を設定することと同じである）。
　または、判定部１５は、媒介中心性が「低」であるか否か、かつ、上記漏洩度３が所定のしきい値を超過しているか否かを、上記所定の条件として判定してもよい。または、判定部１５は、機密度２ｂと漏洩度３とから算出可能な値（例えば、両者を乗じて得られる値）が所定のしきい値を超過しているか否かを判定してもよい。さらに、判定部１５は、前回算出された漏洩度３からの変化（すなわち、前回算出された漏洩度３と今回算出された漏洩度３との差分）が所定のしきい値を超過する場合、上記所定の条件を満たすと判定してもよい。
　判定部１５によって上記所定の条件を満たすと判定された場合、特定部１６が上記電子メールを送信したメンバーを情報漏洩の主体として特定し、提示部１７が当該メンバーをユーザ（サーバ１００の管理者）に提示する。
　以上の処理を実行することによって、サーバ１００は、機密情報２ａが漏洩したことを検知し、当該サーバ１００の管理者に通知することができる。
　なお、メンバーが機密情報２ａを電子メールに添付して外部に送信した事例に沿って、サーバ１００が実行する処理の一例を説明したが、「ネットワークの外部に送信した」という行為（アクセス）でありさえすれば、サーバ１００は前述と同様の処理によって上記アクセスによる情報漏洩を検知できる。
　例えば、メンバーが機密情報２ａをネットワークストレージにアップロードしたこと、メンバーがチャットシステムを介して機密情報２ａを外部に送信したことなどの行為（アクセス）についても、サーバ１００は、前述と同様の処理によって当該アクセスによる情報漏洩を検知できる。
　（ケース２の場合）
　上記（２）に例示されるケースにおいて、上記ウェブページの閲覧をリクエストするデータ１が、算出部１２と格納部１４とに入力される。
　格納部１４は、データ１に含まれる上記ウェブページのＵＲＬ（Uniform Resource Locator）が、記憶部３０に格納された監視対象リストの中に含まれているか否かを判定するために、当該記憶部３０を照会する。上記（２）に例示されるケースでは、上記ＵＲＬは監視対象とするＵＲＬの１つとして上記監視対象リストに含まれるため、格納部１４は、含まれていることを示す監視情報４ｄを算出部１２に出力する。
　なお、前述のように、上記（２）に例示されるケースにおいては、求人を掲載するウェブページのＵＲＬが、上記監視対象リストの中に含まれている。これは、転職を検討するために、上記求人を掲載するウェブページを頻繁に閲覧しているメンバーは、そうでないメンバーよりも機密情報２ａを漏洩させる傾向が強いからである。同様に、自身の業務とは無関係なコンテンツを含むウェブページを頻繁に閲覧しているメンバーは、そうでないメンバーよりも機密情報２ａを漏洩させる傾向が強いため、当該ウェブページのＵＲＬを上記監視対象リストに含めておいてもよい。
　算出部１２は、「監視対象とされているウェブページを閲覧した」という行為（外部に対するアクセス）に対して、情報漏洩の危険性を、漏洩度３として算出する。例えば、算出部１２は、上記アクセスにあらかじめ対応付けられた値を漏洩度３（上記一覧表の２行４列に「１０」と示される）として算出してよい。
　または、算出部１２は、前回算出した漏洩度３を用いて今回の漏洩度３を算出してもよい。例えば、前回「監視対象とされているウェブページを閲覧した」というアクセスに対して、漏洩度３が「５」と算出されていた場合、さらに「５」を加算して、今回の漏洩度３を「１０」と算出できる。
　また、算出部１２は、上記アクセスの頻度に応じて、前回算出した漏洩度３から今回の漏洩度３を算出してもよい。例えば、算出部１２は、上記ウェブページを閲覧する頻度が高まるほど漏洩度３が加速度的に大きくなるように、当該漏洩度３を算出することができる。
　判定部１５は、前述と同様に所定の条件を満たしているか否かを判定する。判定部１５によって満たしていると判定された場合、特定部１６が上記ウェブサイトを閲覧したメンバー（上記一覧表の２行１列において識別情報５ｃとして示されるホスト名を有するコンピュータを使用しているメンバー）を情報漏洩の主体として特定し、提示部１７が当該メンバーをユーザ（サーバ１００の管理者）に提示する。
　以上の処理を実行することによって、サーバ１００は、機密情報２ａが漏洩するおそれが高まっていることを検知し、当該サーバ１００の管理者に通知することができる。
　（ケース３の場合）
　上記（３）に例示されるケースにおいて、上記電子メールに関するデータ１が、算出部１２と格納部１４とに入力される。
　格納部１４は、上記電子メールに含まれる文章からキーワードを抽出し、当該キーワードが、記憶部３０に格納されたキーワードリストの中に含まれているか否かを判定するために、当該記憶部３０を照会する。上記キーワードリストには、例えば「社外秘」、「転職」、「面接」など、機密情報２ａの内容に関係するキーワード、機密情報２ａの漏洩を示唆するキーワード、機密情報２ａを漏洩させるための予備的行為に関係するキーワードなどが含まれる。格納部１４は、上記キーワードリストに含まれるキーワードに関する情報を含む監視情報４ｄを、算出部１２に出力する。
　算出部１２は、「所定のキーワードを含む電子メールを外部の人物に送信した」という行為（外部に対するアクセス）に対して、情報漏洩の危険性を、漏洩度３として算出する。例えば、算出部１２は、各キーワードにあらかじめ対応付けられた値の合計を、漏洩度３（上記一覧表の３行４列に「１５」と示される）として算出してよい。
　判定部１５は、前述と同様に所定の条件を満たしているか否かを判定する。判定部１５によって満たしていると判定された場合、特定部１６が上記電子メールを送信したメンバーを情報漏洩の主体として特定し、提示部１７が当該メンバーをユーザ（サーバ１００の管理者）に提示する。
　以上の処理を実行することによって、サーバ１００は、機密情報２ａが漏洩するおそれが高まっていることを検知し、当該サーバ１００の管理者に通知することができる。
　なお、格納部１４は、電子メールに含まれる文章だけでなく、公知の音声認識アルゴリズムを用いることによって、電話による通話を録音した音声データからもキーワードを抽出できる。したがって、サーバ１００は、電話による通話からも機密情報２ａが漏洩するおそれが高まっていることを検知することができる。
　〔評判に基づく漏洩度の算出〕
　ネットワークを流通するデータ１（例えば、電子データなどの文章を含むデータ）は、抽出部１３にも入力される。抽出部１３は、当該ネットワークの内部に所属する各メンバーの評判（レピュテーション；reputation）を示す評判情報４ａを生成し、当該評判情報４ａを算出部１２に出力する。
　例えば、抽出部１３は、電子データに含まれる文章を解析することによって、あるメンバーの技術力が低いことを示唆する内容が読み取られた場合、当該内容を含む評判情報４ａを生成する。この場合、算出部１２は上記評判情報４ａに基づいて、上記メンバーのアクセスに対する漏洩度３を通常より大きく算出する。技術力が低いほど、機密情報２ａを漏洩する傾向が強いためである。
　同様に、文章から組織に対する不満を示唆する内容が読み取られた場合も、算出部１２は評判情報４ａに基づいて、当該メンバーのアクセスに対する漏洩度３を通常より大きく算出する。不満が大きいほど、機密情報２ａを漏洩する傾向が強いためである。
　これにより、サーバ１００は、情報が漏洩したこと、または情報が漏洩するおそれが高まったことをより正確に検知し、当該漏洩の主体を特定することができる。
　〔データベースの構築〕
　格納部１４は、機密情報２ａにあらかじめ対応付けられた機密度２ｂを学習データとして参照することによって、当該機密情報２ａとは異なる他の機密情報２ａに機密度２ｂを新たに対応付けて、当該他の機密情報２ａを記憶部３０に格納することができる。
　記憶部３０に膨大な量の情報が格納されている場合、すべての情報に人手で機密度２ｂを対応付けることは現実的でない。そこで、すべての情報のうちの一部の情報にのみ人手で機密度２ｂを対応付け、当該対応付けられた機密度２ｂを学習データとして用いることによって、格納部１４が、残りの情報に対して機密度２ｂを対応付ける。
　これにより、サーバ１００は、大量の情報が機密情報２ａとしてリストアップされる場合であっても、情報が漏洩したこと、または情報が漏洩するおそれが高まったことをより正確に検知し、当該漏洩の主体を特定することができる。
　〔サーバ１００が実行する処理〕
　図３は、サーバ１００が実行する処理の一例を示すフローチャートである。なお、以下の説明において、カッコ書きの「～ステップ」は、本発明の実施の形態に係る情報漏洩検知方法に含まれる各ステップを表す。
　取得部１１は、受信部２１が受信したデータ１を当該受信部２１から取得する（ステップ１、以下「ステップ」を「Ｓ」と略記する）。格納部１４は、上記データ１に含まれる情報が機密情報２ａに該当するか否かを判定し（Ｓ２）、該当すると判定される場合（Ｓ２においてＹＥＳ）、格納部１４は、当該機密情報２ａに対応付けられた機密度２ｂを算出部１２に出力する（Ｓ３）。
　算出部１２は、データ１に関するアクセスに対して漏洩度３を算出する（Ｓ４、算出ステップ）。判定部１５は、機密度２ｂまたは漏洩度３が所定の条件を満たしているか否かを判定し（Ｓ５、判定ステップ）、満たしていると判定される場合（Ｓ５においてＹＥＳ）、当該アクセスの主体を上記機密情報２ａを漏洩する主体として特定する（Ｓ６、特定ステップ）。提示部１７は、当該漏洩の主体をユーザに認識可能に提示する（Ｓ７）。
　〔サーバ１００が奏する効果〕
　サーバ１００は、業務の効率を落としたり、高い管理コストを費やしたりするなどの弊害を生じることなく、情報が漏洩したこと、または情報が漏洩するおそれが高まったことを検知し、当該漏洩の主体を特定することができるという効果を奏する。
　〔サーバ１００の別表現〕
　本発明の実施の形態に係るサーバ１００は、以下のようにも表現できる。すなわち、情報漏洩を検知する情報漏洩検知装置であって、ネットワークの内部において秘密に管理される非公知な機密情報を、機密性の高低を示す機密度に対応付けて所定の記憶部に格納する格納部と、前記ネットワークの外部に対するアクセスを監視することによって、前記機密情報が当該アクセスにより漏洩する危険性を示す漏洩度を算出する算出部と、前記機密情報に対応付けられた前記機密度、または前記漏洩度に基づいて、当該漏洩の主体を特定する特定部とを備えたことを特徴とする情報漏洩検知装置。
　〔ソフトウェアによる実現例〕
　サーバ１００の制御ブロック（特に、制御部１０）は、集積回路（ＩＣチップ）等に形成された論理回路（ハードウェア）によって実現してもよいし、ＣＰＵ（Central Processing Unit）を用いてソフトウェアによって実現してもよい。後者の場合、サーバ１００は、各機能を実現するソフトウェアであるプログラム（情報漏洩検知プログラム）の命令を実行するＣＰＵ、上記プログラムおよび各種データがコンピュータ（またはＣＰＵ）で読み取り可能に記録されたＲＯＭ（Read Only Memory）または記憶装置（これらを「記録媒体」と称する）、上記プログラムを展開するＲＡＭ（Random Access Memory）などを備えている。そして、コンピュータ（またはＣＰＵ）が上記プログラムを上記記録媒体から読み取って実行することにより、本発明の目的が達成される。上記記録媒体としては、「一時的でない有形の媒体」、例えば、テープ、ディスク、カード、半導体メモリ、プログラマブルな論理回路などを用いることができる。また、上記プログラムは、当該プログラムを伝送可能な任意の伝送媒体（通信ネットワークや放送波等）を介して上記コンピュータに供給されてもよい。本発明は、上記プログラムが電子的な伝送によって具現化された、搬送波に埋め込まれたデータ信号の形態でも実現され得る。
　具体的には、本発明の実施の形態に係る情報漏洩検知プログラムは、コンピュータ（サーバ１００）に、ネットワークの内部において秘密に管理される機密情報を、機密性の高低を示す機密度に対応付けて記憶する所定の記憶部を照会し、前記ネットワークの外部に対するアクセスによって前記機密情報が漏洩する危険性を示す漏洩度を算出する算出機能と、前記機密度および前記漏洩度のうちの少なくとも一方が、前記機密情報が漏洩する基準を示す所定の条件を満たすか否かを判定する判定機能と、前記判定機能によって前記所定の条件を満たすと判定された場合、前記漏洩の主体を特定する特定機能とを実現させる。
　上記算出機能、判定機能、および特定機能は、算出部１２、判定部１５、および特定部１６によってそれぞれ実現され得る。詳細については上述した通りである。
　〔付記事項〕
　本発明は上述したそれぞれの実施の形態に限定されるものではなく、請求項に示した範囲で種々の変更が可能であり、異なる実施の形態にそれぞれ開示された技術的手段を適宜組み合わせて得られる実施の形態についても、本発明の技術的範囲に含まれる。さらに、各実施の形態にそれぞれ開示された技術的手段を組み合わせることにより、新しい技術的特徴を形成できる。
　本発明は、パーソナルコンピュータ、ワークステーション、メインフレームなど、任意のコンピュータに広く適用することができる。
　２ａ：機密情報、２ｂ：機密度、３：漏洩度、４ａ：評判情報、４ｂ：関係性情報、１２：算出部、１３：抽出部、１４：格納部、１５：判定部、１６：特定部、１７：提示部、３０：記憶部、１００：サーバ（情報漏洩検知装置）

Claims (10)

  1. 　情報漏洩を検知する情報漏洩検知装置であって、
    　ネットワークの内部において秘密に管理される機密情報を、機密性の高低を示す機密度に対応付けて記憶する所定の記憶部を照会し、前記ネットワークの外部に対するアクセスによって前記機密情報が漏洩する危険性を示す漏洩度を算出する算出部と、
    　前記機密度および前記漏洩度のうちの少なくとも一方が、前記機密情報が漏洩する基準を示す所定の条件を満たすか否かを判定する判定部と、
    　前記判定部によって前記所定の条件を満たすと判定された場合、前記漏洩の主体を特定する特定部とを備えたことを特徴とする情報漏洩検知装置。
  2. 　前記判定部は、前記機密情報が前記ネットワークの外部に送信された場合、前記所定の条件を満たすと判定することを特徴とする請求項１に記載の情報漏洩検知装置。
  3. 　前記算出部は、前回算出した漏洩度を用いて今回の漏洩度を算出し、
    　前記判定部は、前記今回の漏洩度が所定のしきい値を超過する場合、前記所定の条件を満たすと判定することを特徴とする請求項１または２に記載の情報漏洩検知装置。
  4. 　前記ネットワークを流通するデータを解析することによって、当該ネットワークの内部に所属する各主体の評判を示す評判情報を抽出する抽出部をさらに備え、
    　前記算出部は、前記抽出部によって抽出された評判情報に基づいて、前記漏洩度を算出することを特徴とする請求項１から３のいずれか１項に記載の情報漏洩検知装置。
  5. 　前記判定部は、複数の主体の関係性を示す関係性情報が、前記所定の条件を満たすか否かをさらに判定することを特徴とする請求項１から４のいずれか１項に記載の情報漏洩検知装置。
  6. 　前記機密情報にあらかじめ対応付けられた前記機密度を学習データとして参照することによって、当該機密情報とは異なる他の機密情報に前記機密度を新たに対応付けて、当該他の機密情報を前記所定の記憶部に格納する格納部をさらに備えたことを特徴とする請求項１から５のいずれか１項に記載の情報漏洩検知装置。
  7. 　前記特定部によって特定された漏洩の主体を、認識可能に提示する提示部をさらに備えたことを特徴とする請求項１から６のいずれか１項に記載の情報漏洩検知装置。
  8. 　前記提示部は、前記漏洩の主体が特定された根拠となる情報をさらに提示することを特徴とする請求項７に記載の情報漏洩検知装置。
  9. 　情報漏洩を検知する情報漏洩検知方法であって、
    　ネットワークの内部において秘密に管理される機密情報を、機密性の高低を示す機密度に対応付けて記憶する所定の記憶部を照会し、前記ネットワークの外部に対するアクセスによって前記機密情報が漏洩する危険性を示す漏洩度を算出する算出ステップと、
    　前記機密度および前記漏洩度のうちの少なくとも一方が、前記機密情報が漏洩する基準を示す所定の条件を満たすか否かを判定する判定ステップと、
    　前記判定ステップにおいて前記所定の条件を満たすと判定した場合、前記漏洩の主体を特定する特定ステップとを含むことを特徴とする情報漏洩検知方法。
  10. 　情報漏洩を検知する情報漏洩検知プログラムであって、コンピュータに、
    　ネットワークの内部において秘密に管理される機密情報を、機密性の高低を示す機密度に対応付けて記憶する所定の記憶部を照会し、前記ネットワークの外部に対するアクセスによって前記機密情報が漏洩する危険性を示す漏洩度を算出する算出機能と、
    　前記機密度および前記漏洩度のうちの少なくとも一方が、前記機密情報が漏洩する基準を示す所定の条件を満たすか否かを判定する判定機能と、
    　前記判定機能によって前記所定の条件を満たすと判定された場合、前記漏洩の主体を特定する特定機能とを実現させることを特徴とする情報漏洩検知プログラム。
PCT/JP2014/060501 2014-04-11 2014-04-11 情報漏洩検知装置、情報漏洩検知方法、および情報漏洩検知プログラム WO2015155888A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
PCT/JP2014/060501 WO2015155888A1 (ja) 2014-04-11 2014-04-11 情報漏洩検知装置、情報漏洩検知方法、および情報漏洩検知プログラム
JP2016512556A JP6145570B2 (ja) 2014-04-11 2014-04-11 情報漏洩検知装置、情報漏洩検知方法、および情報漏洩検知プログラム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2014/060501 WO2015155888A1 (ja) 2014-04-11 2014-04-11 情報漏洩検知装置、情報漏洩検知方法、および情報漏洩検知プログラム

Publications (1)

Publication Number Publication Date
WO2015155888A1 true WO2015155888A1 (ja) 2015-10-15

Family

ID=54287488

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2014/060501 WO2015155888A1 (ja) 2014-04-11 2014-04-11 情報漏洩検知装置、情報漏洩検知方法、および情報漏洩検知プログラム

Country Status (2)

Country Link
JP (1) JP6145570B2 (ja)
WO (1) WO2015155888A1 (ja)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2018116388A (ja) * 2017-01-17 2018-07-26 日本電気株式会社 ファイル管理方法、ファイル管理装置及びファイル管理プログラム
JP2021026475A (ja) * 2019-08-05 2021-02-22 尚久 矢作 データ監視装置、データ監視プログラム、及びコンピュータ読取可能な記録媒体

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004147067A (ja) * 2002-10-24 2004-05-20 Fuji Xerox Co Ltd 通信分析装置及びこれを用いた通信管理装置
JP2005322261A (ja) * 2005-05-27 2005-11-17 Intelligent Wave Inc 不正監視プログラム、不正監視の方法及び不正監視システム
JP2007156816A (ja) * 2005-12-05 2007-06-21 Nec Corp リスク分析装置、リスク分析方法およびリスク分析用プログラム
JP2009026229A (ja) * 2007-07-23 2009-02-05 Sky Kk 電子メールシステム
US20090228565A1 (en) * 2008-03-10 2009-09-10 Saraansh Software Solutions Pvt. Ltd. System for detecting information leakage in outbound e-mails without using the content of the mail
JP2010009239A (ja) * 2008-06-25 2010-01-14 Kansai Electric Power Co Inc:The 情報漏洩予測方法
JP2010015543A (ja) * 2008-06-03 2010-01-21 Hitachi Ltd ファイル管理システム

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004147067A (ja) * 2002-10-24 2004-05-20 Fuji Xerox Co Ltd 通信分析装置及びこれを用いた通信管理装置
JP2005322261A (ja) * 2005-05-27 2005-11-17 Intelligent Wave Inc 不正監視プログラム、不正監視の方法及び不正監視システム
JP2007156816A (ja) * 2005-12-05 2007-06-21 Nec Corp リスク分析装置、リスク分析方法およびリスク分析用プログラム
JP2009026229A (ja) * 2007-07-23 2009-02-05 Sky Kk 電子メールシステム
US20090228565A1 (en) * 2008-03-10 2009-09-10 Saraansh Software Solutions Pvt. Ltd. System for detecting information leakage in outbound e-mails without using the content of the mail
JP2010015543A (ja) * 2008-06-03 2010-01-21 Hitachi Ltd ファイル管理システム
JP2010009239A (ja) * 2008-06-25 2010-01-14 Kansai Electric Power Co Inc:The 情報漏洩予測方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
TAKESHI SUZUKI: "Mienai Teki ni Sente o Utsu Proactive Security Dai 10 Kai Forensic [Zenpen", COMPUTERWORLD GET TECHNOLOGY RIGHT, vol. 1, no. 10, 1 October 2004 (2004-10-01), pages 142 - 146 *

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2018116388A (ja) * 2017-01-17 2018-07-26 日本電気株式会社 ファイル管理方法、ファイル管理装置及びファイル管理プログラム
JP7005900B2 (ja) 2017-01-17 2022-01-24 日本電気株式会社 ファイル管理方法、ファイル管理装置及びファイル管理プログラム
JP2021026475A (ja) * 2019-08-05 2021-02-22 尚久 矢作 データ監視装置、データ監視プログラム、及びコンピュータ読取可能な記録媒体
JP7324648B2 (ja) 2019-08-05 2023-08-10 尚久 矢作 データ監視装置、データ監視プログラム、及びコンピュータ読取可能な記録媒体

Also Published As

Publication number Publication date
JPWO2015155888A1 (ja) 2017-04-13
JP6145570B2 (ja) 2017-06-14

Similar Documents

Publication Publication Date Title
US11567983B2 (en) Detecting, classifying, and enforcing policies on social networking activity
EP2933973B1 (en) Data protection method, apparatus and system
US9336388B2 (en) Method and system for thwarting insider attacks through informational network analysis
KR101699653B1 (ko) 민감 정보 누설 식별 및 방지
US20180191763A1 (en) System and method for determining network security threats
US20160164909A1 (en) Learning based security threat containment
US20220138331A1 (en) Privacy score
US10764314B2 (en) Implicit crowdsourcing for untracked correction or verification of categorization information
EP3504659B1 (en) Computing device protection based on device attributes and device risk factor
US10410304B2 (en) Provisioning in digital asset management
US10904272B2 (en) Consumer threat intelligence service
US20180227263A1 (en) System and method for providing services
JP6247749B2 (ja) 情報漏洩検知装置、情報漏洩検知方法、および情報漏洩検知プログラム
JP6145570B2 (ja) 情報漏洩検知装置、情報漏洩検知方法、および情報漏洩検知プログラム
JP6623128B2 (ja) ログ分析システム、ログ分析方法及びログ分析装置
US9876809B2 (en) Standard metadata model for analyzing events with fraud, attack, or any other malicious background
US11888889B2 (en) Securing against network vulnerabilities
JP6517416B1 (ja) 分析装置、端末装置、分析システム、分析方法およびプログラム
US8839443B2 (en) Identifying and remedying secondary privacy leakage
JP2015230553A (ja) コンピュータプログラム、判別方法、及び端末装置
US20140006489A1 (en) Determining and Providing Feedback About Communications From An Application On A Social Networking Platform
Biocco et al. A Study of Privacy Policies across Smart Home Companies
KR20210006435A (ko) 데이터 유출 위험 평가
JP2006011998A (ja) 顧客情報漏洩監視システム及び顧客情報漏洩監視方法
Bedoya A License to Discriminate.

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 14888721

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2016512556

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 14888721

Country of ref document: EP

Kind code of ref document: A1